CN109033813B - Linux操作日志的审计系统和方法 - Google Patents

Abstract

本发明公开了一种Linux操作日志的审计系统和方法，其中Linux操作日志的审计系统，包括堡垒机、日志搜索引擎、日志收集单元、开源分析可视化平台、综合性安全运营中心；堡垒机用于将Linux服务器的操作日志备份至目标路径；日志收集单元用于将目标路径下的操作日志传输至日志搜索引擎；日志搜索引擎用于将操作日志按照字段分片，并将分片后的操作日志传输至开源分析可视化平台；开源分析可视化平台用于为分片后的操作日志添加审计主题；综合性安全运营中心用于根据预设规则检测添加审计主题后的操作日志。本发明能够对Linux操作日志实时进行审计，及时告警。

Description

Linux操作日志的审计系统和方法

技术领域

本发明属于Linux(一种操作系统)操作日志审计监控技术领域，尤其涉及一种Linux操作日志的审计系统和方法。

背景技术

大型互联网企业中，人为计算机操作失误是引起生产事故的主要原因之一，不乏存在黑客渗透行为、恶意操作破坏。一般事故的审计回溯方式为登录设备查看历史操作记录(Linux操作日志)，此审计方式滞后性强，不及时，并且无法看到详细的用户来源，如IP(Internet Protocol，网络之间互连的协议)地址、操作时间、操作用户等。若设备遭遇恶意渗透，Linux历史命令文件(Linux操作日志)可被人为清空，或者设备遭到灾难性破坏，历史文件(Linux操作日志)也将丢失。

发明内容

本发明要解决的技术问题是克服现有技术中的对Linux操作日志的审计滞后性强的缺陷，提供一种Linux操作日志的审计系统和方法。

本发明通过以下技术方案解决上述技术问题：

一种Linux操作日志的审计系统，包括堡垒机、日志搜索引擎、日志收集单元、开源分析可视化平台、综合性安全运营中心；

堡垒机用于将Linux服务器的操作日志备份至目标路径；

日志收集单元用于将目标路径下的操作日志传输至日志搜索引擎；

日志搜索引擎用于将操作日志按照字段分片，并将分片后的操作日志传输至开源分析可视化平台；

开源分析可视化平台用于为分片后的操作日志添加审计主题，并用于将添加审计主题后的操作日志传输至综合性安全运营中心，审计主题用于表征操作日志用于审计；

综合性安全运营中心用于根据预设规则检测添加审计主题后的操作日志。

较佳地，将操作日志按照字段分片为将操作日志按照字段分行。

较佳地，根据预设规则检测添加审计主题后的操作日志包括在添加审计主题后的操作日志中检测预设高危命令，高危命令为引起误操作的命令。

较佳地，根据预设规则检测添加审计主题后的操作日志包括每隔预设运行间隔时间检测当前搜索间隔时间内的添加审计主题后的操作日志。

较佳地，综合性安全运营中心还用于在检测到高危命令的数量达到预设阈值后发出报警信息。

较佳地，综合性安全运营中心还用于将报警信息发送至目标邮件地址。

较佳地，综合性安全运营中心上设置有数据源，综合性安全运营中心还用于将数据源的主题配置为审计主题，开源分析可视化平台用于将添加审计主题后的操作日志传输至数据源。

本发明还提供一种Linux操作日志的审计方法，包括以下步骤：

堡垒机将Linux服务器的操作日志备份至目标路径；

日志收集单元将目标路径下的操作日志传输至日志搜索引擎；

日志搜索引擎将操作日志按照字段分片，并将分片后的操作日志传输至开源分析可视化平台；

开源分析可视化平台为分片后的操作日志添加审计主题，并将添加审计主题后的操作日志传输至综合性安全运营中心，审计主题用于表征操作日志用于审计；

综合性安全运营中心根据预设规则检测添加审计主题后的操作日志。

较佳地，将操作日志按照字段分片为将操作日志按照字段分行。

较佳地，根据预设规则检测添加审计主题后的操作日志包括在添加审计主题后的操作日志中检测预设高危命令，高危命令为引起误操作的命令。

较佳地，根据预设规则检测添加审计主题后的操作日志包括每隔预设运行间隔时间检测当前搜索间隔时间内的添加审计主题后的操作日志。

较佳地，Linux操作日志的审计方法还包括以下步骤：

综合性安全运营中心在检测到高危命令的数量达到预设阈值后发出报警信息。

较佳地，发出报警信息的步骤为：综合性安全运营中心将报警信息发送至目标邮件地址。

较佳地，Linux操作日志的审计方法还包括以下步骤：

在综合性安全运营中心上建立数据源，将数据源的主题配置为审计主题；

将添加审计主题后的操作日志传输至综合性安全运营中心的步骤为：

开源分析可视化平台将添加审计主题后的操作日志传输至数据源。

本发明的积极进步效果在于：本发明的Linux操作日志的审计系统和方法能够实时保存Linux操作日志，避免受到破坏而丢失；同时，该Linux操作日志的审计系统能够对Linux操作日志实时进行审计，及时告警，保证大型互联网企业的计算机系统的安全性。

附图说明

图1为本发明的一较佳实施例的Linux操作日志的审计系统的结构示意图。

图2为本发明的一较佳实施例的Linux操作日志的审计方法的流程图。

具体实施方式

下面通过一较佳实施例进一步说明本发明，但并不因此将本发明限制在所述的实施例范围之中。

本实施例提供一种Linux操作日志的审计系统，参照图1，该Linux操作日志的审计系统包括堡垒机101、日志搜索引擎103、日志收集单元102、开源分析可视化平台104、综合性安全运营中心105；堡垒机101用于将Linux服务器的操作日志备份至目标路径；日志收集单元102用于将目标路径下的操作日志传输至日志搜索引擎103；日志搜索引擎103用于将操作日志按照字段分片，并将分片后的操作日志传输至开源分析可视化平台104；开源分析可视化平台104用于为分片后的操作日志添加审计主题，并用于将添加审计主题后的操作日志传输至综合性安全运营中心105，审计主题用于表征操作日志用于审计；综合性安全运营中心105用于根据预设规则检测添加审计主题后的操作日志。

具体实施时，堡垒机101(也称为运维安全审计系统)备份Linux服务器字符型命令操作日志至本地路径/home/log/目录。然后，日志收集单元102配置任务实时将堡垒机101上的/home/log/目录内的操作日志文件输送到日志搜索引擎103。在本实施例中，日志收集单元102采用运行数据处理软件Logstash的计算机实现，日志搜索引擎103采用搜索服务器ElasticSearch实现。

日志搜索引擎103将收到的操作日志收集，并对操作日志按照字段分片。分片的具体操作为按照字段分行，以便于针对不同的字段进行审计。以下给出了一个按照字段分行后的操作日志的示例：

March 27th 2018，00：00：00(该字段为Timestamp：终端会话登录时间)

admin(该字段为Account：登录服务器的系统账号)

sudo–i，ll,cat text.conf(该字段为Commands：用户操作命令。每条命令以逗号间隔)

pc001(该字段为From_host：登录服务器使用的计算机名)

192.168.1.1(该字段为From_ipaddr：登录服务器使用的计算机IP地址)

zhangsan(该字段为user：登录服务器使用计算机的登录账号)

svr001(该字段为To_host：登录的服务器名)

10.8.1.1(该字段为To_ipaddr：登录的服务器IP地址)

日志搜索引擎103将分片后的操作日志传输至开源分析可视化平台104(采用kibana(一个开源的分析与可视化平台)实现)。kibana为收集到的操作日志添加topic(审计主题)，例如，将该审计主题设置为“serverlog”。审计主题用于表征操作日志用于审计，对于没有添加审计主题的操作日志，将不进行审计。Kibana为Logstash和ElasticSearch输送的日志提供友好的Web(网络)界面，可以帮助汇总、分析和搜索重要数据日志。

接下来，综合性安全运营中心105(Security Operation Center，简称SOC)上新建数据源，并将该数据源的主题配置为“serverlog”，即与操作日志的审计主题相同。然后，Kibana将审计主题为“serverlog”的所有操作日志发送给SOC，存储于上述数据源中。SOC上保存有多种日志，SOC通过审计主题判断进行审计的对象，对于没有添加审计主题的操作日志，将不进行审计。

然后，SOC根据预设规则检测添加审计主题后的操作日志。该预设规则即审计策略，可以为预先设置好在SOC上配置审计策略。

审计策略包含需要在操作日志中检测的高危命令、运行间隔时间、搜索间隔时间、检测阀值、检测字段、告警邮件地址等。

例如，将高危命令设置为“>/dev/sda”；设置运行间隔时间为1分钟，搜索间隔时间为2分钟；设置检测阀值为“1”；设置检测字段为“Commands”。则SOC每1分钟去检测前2分钟内的ElasticSearch的添加审计主题的操作日志，并在操作日志的“Commands”字段中检测是否包含高危命令“>/dev/sda”，如果包含，当该高危命令出现的次数达到检测阀值1时，即发出报警信息。

SOC向预设的告警邮件地址发送报警信息，通知运维人员。

本实施例还提供一种Linux操作日志的审计方法，该审计方法利用本实施例的Linux操作日志的审计系统实现。参照图2，该Linux操作日志的审计方法，包括以下步骤：

步骤S401、堡垒机将Linux服务器的操作日志备份至目标路径；

步骤S402、日志收集单元将目标路径下的操作日志传输至日志搜索引擎；

步骤S403、日志搜索引擎将操作日志按照字段分片，并将分片后的操作日志传输至开源分析可视化平台；

步骤S404、开源分析可视化平台为分片后的操作日志添加审计主题，并将添加审计主题后的操作日志传输至综合性安全运营中心，审计主题用于表征操作日志用于审计；

步骤S405、综合性安全运营中心根据预设规则检测添加审计主题后的操作日志。

具体实施时，堡垒机备份Linux服务器字符型命令操作日志至本地路径/home/log/目录。然后，日志收集单元配置任务实时将堡垒机上的/home/log/目录内的操作日志文件输送到日志搜索引擎。在本实施例中，日志收集单元采用运行数据处理软件Logstash的计算机实现，日志搜索引擎采用搜索服务器ElasticSearch实现。

日志搜索引擎将收到的操作日志收集，并对操作日志按照字段分片。分片的具体操作为按照字段分行，以便于针对不同的字段进行审计。以下给出了一个按照字段分行后的操作日志的示例：

March 27th 2018，00：00：00(该字段为Timestamp：终端会话登录时间)

admin(该字段为Account：登录服务器的系统账号)

sudo–i，ll,cat text.conf(该字段为Commands：用户操作命令。每条命令以逗号间隔)

pc001(该字段为From_host：登录服务器使用的计算机名)

192.168.1.1(该字段为From_ipaddr：登录服务器使用的计算机IP地址)

zhangsan(该字段为user：登录服务器使用计算机的登录账号)

svr001(该字段为To_host：登录的服务器名)

10.8.1.1(该字段为To_ipaddr：登录的服务器IP地址)

日志搜索引擎将分片后的操作日志传输至开源分析可视化平台(采用kibana(一个开源的分析与可视化平台)实现)。kibana为收集到的操作日志添加topic(审计主题)，例如，将该审计主题设置为“serverlog”。审计主题用于表征操作日志用于审计，对于没有添加审计主题的操作日志，将不进行审计。Kibana为Logstash和ElasticSearch输送的日志提供友好的Web(网络)界面，可以帮助汇总、分析和搜索重要数据日志。

接下来，综合性安全运营中心(Security Operation Center，简称SOC)上新建数据源，并将该数据源的主题配置为“serverlog”，即与操作日志的审计主题相同。然后，Kibana将审计主题为“serverlog”的所有操作日志发送给SOC，存储于上述数据源中。SOC上保存有多种日志，SOC通过审计主题判断进行审计的对象，对于没有添加审计主题的操作日志，将不进行审计。

然后，SOC根据预设规则检测添加审计主题后的操作日志。该预设规则即审计策略，可以为预先设置好在SOC上配置审计策略。

审计策略包含需要在操作日志中检测的高危命令、运行间隔时间、搜索间隔时间、检测阀值、检测字段、告警邮件地址等。

例如，将高危命令设置为“>/dev/sda”；设置运行间隔时间为1分钟，搜索间隔时间为2分钟；设置检测阀值为“1”；设置检测字段为“Commands”。则SOC每1分钟去检测前2分钟内的ElasticSearch的添加审计主题的操作日志，并在操作日志的“Commands”字段中检测是否包含高危命令“>/dev/sda”，如果包含，当该高危命令出现的次数达到检测阀值1时，即发出报警信息。

SOC向预设的告警邮件地址发送报警信息，通知运维人员。

虽然以上描述了本发明的具体实施方式，但是本领域的技术人员应当理解，这些仅是举例说明，本发明的保护范围是由所附权利要求书限定的。本领域的技术人员在不背离本发明的原理和实质的前提下，可以对这些实施方式做出多种变更或修改，但这些变更和修改均落入本发明的保护范围。

Claims (14)

1.一种Linux操作日志的审计系统，其特征在于，包括堡垒机、日志搜索引擎、日志收集单元、开源分析可视化平台、综合性安全运营中心；

所述堡垒机用于将Linux服务器的操作日志备份至目标路径；

所述日志收集单元用于将所述目标路径下的操作日志传输至所述日志搜索引擎；

所述日志搜索引擎用于将所述操作日志按照字段分片，并将分片后的操作日志传输至所述开源分析可视化平台；

所述开源分析可视化平台用于为所述分片后的操作日志添加审计主题，并用于将添加审计主题后的操作日志传输至综合性安全运营中心，所述审计主题用于表征所述操作日志用于审计；

所述综合性安全运营中心用于根据预设规则检测所述添加审计主题后的操作日志。

2.如权利要求1所述的Linux操作日志的审计系统，其特征在于，将所述操作日志按照字段分片为将所述操作日志按照字段分行。

3.如权利要求1所述的Linux操作日志的审计系统，其特征在于，所述根据预设规则检测所述添加审计主题后的操作日志包括在所述添加审计主题后的操作日志中检测预设高危命令，所述高危命令为引起误操作的命令。

4.如权利要求3所述的Linux操作日志的审计系统，其特征在于，所述根据预设规则检测所述添加审计主题后的操作日志包括每隔预设运行间隔时间检测当前搜索间隔时间内的添加审计主题后的操作日志。

5.如权利要求3所述的Linux操作日志的审计系统，其特征在于，所述综合性安全运营中心还用于在检测到所述高危命令的数量达到预设阈值后发出报警信息。

6.如权利要求5所述的Linux操作日志的审计系统，其特征在于，所述综合性安全运营中心还用于将所述报警信息发送至目标邮件地址。

7.如权利要求1所述的Linux操作日志的审计系统，其特征在于，所述综合性安全运营中心上设置有数据源，所述综合性安全运营中心还用于将所述数据源的主题配置为所述审计主题，所述开源分析可视化平台用于将添加审计主题后的操作日志传输至所述数据源。

8.一种Linux操作日志的审计方法，其特征在于，包括以下步骤：

堡垒机将Linux服务器的操作日志备份至目标路径；

日志收集单元将所述目标路径下的操作日志传输至日志搜索引擎；

所述日志搜索引擎将所述操作日志按照字段分片，并将分片后的操作日志传输至开源分析可视化平台；

所述开源分析可视化平台为所述分片后的操作日志添加审计主题，并将添加审计主题后的操作日志传输至综合性安全运营中心，所述审计主题用于表征所述操作日志用于审计；

所述综合性安全运营中心根据预设规则检测所述添加审计主题后的操作日志。

9.如权利要求8所述的Linux操作日志的审计方法，其特征在于，将所述操作日志按照字段分片为将所述操作日志按照字段分行。

10.如权利要求8所述的Linux操作日志的审计方法，其特征在于，所述根据预设规则检测所述添加审计主题后的操作日志包括在所述添加审计主题后的操作日志中检测预设高危命令，所述高危命令为引起误操作的命令。

11.如权利要求10所述的Linux操作日志的审计方法，其特征在于，所述根据预设规则检测所述添加审计主题后的操作日志包括每隔预设运行间隔时间检测当前搜索间隔时间内的添加审计主题后的操作日志。

12.如权利要求10所述的Linux操作日志的审计方法，其特征在于，所述Linux操作日志的审计方法还包括以下步骤：

所述综合性安全运营中心在检测到所述高危命令的数量达到预设阈值后发出报警信息。

13.如权利要求12所述的Linux操作日志的审计方法，其特征在于，所述发出报警信息的步骤为：所述综合性安全运营中心将所述报警信息发送至目标邮件地址。

14.如权利要求8所述的Linux操作日志的审计方法，其特征在于，所述Linux操作日志的审计方法还包括以下步骤：

在所述综合性安全运营中心上建立数据源，将所述数据源的主题配置为所述审计主题；

将添加审计主题后的操作日志传输至综合性安全运营中心的步骤为：

所述开源分析可视化平台将添加审计主题后的操作日志传输至所述数据源。

Images